「製造業者/サービス事業者による医療情報セキュリティ開示書」
Ver.４.0
医療機関等向けユーザーズガイド（「医療情報システムの安全管理に関するガイドライン第 5.1 版」対応）

202１年５月

JAHIS -JIRA 合同開示説明書 WG

目次「製造業者/サービス事業者による医療情報セキュリティ開示書」とは ................................................................. 1「製造業者/サービス事業者による医療情報セキュリティ開示書」（MDS/SDS）の入手と利用........................ 3
Annex Q&A 集 ........................................................................................................................................................... 5
はじめに ........................................................................................................................................................................... 5「全体」 ........................................................................................................................................................................... 5「安全管理ガイドライン６章 情報システムの基本的な安全管理」関係 ............................................................... 8「安全管理ガイドライン７章 電子保存の要求事項について」関係 ..................................................................... 10「安全管理ガイドライン８章 診療録及び診療諸記録を外部に保存する際の基準」関係 .................................. 10「安全管理ガイドライン９章 診療録等をスキャナ等で電子化して保存する場合について」関係................... 10「その他」 ..................................................................................................................................................................... 11

「製造業者/サービス事業者による医療情報セキュリティ開示書」とは「製造業者/サービス事業者による医療情報セキュリティ開示書」（以下、MDS/SDS とする。
）とは、各製造業者/サービス事業者の医療情報システムのセキュリティ機能に関する説明の標準的記載方法（書式）を JAHIS/JIRA で定めた物です。
製品/サービス説明の一部として製造業者/サービス事業者によって作成され、セキュリティマネジメントを実施する医療機関等を支援するため、以下の用途に用いられることを想定しています。
（１） 製造業者が提供する医療情報システム、又はサービス事業者が提供する医療情報システムを用いたサービス（以下、「対象とするシステム/サービス」とする。
）のセキュリティに関して、厚生労働省から発行されている「医療情報システムの安全管理に関するガイドライン」（以下、「安全管理ガイドライン」）への適合性を示すことにより、医療機関等側において必要な対策の理解を容易にすること。
（２） 安全管理ガイドラインを遵守しなければならない医療機関等にとって有用な情報を提供すること。
当該システム/サービス導入医療機関等においてセキュリティマネジメントを実施するにあたって、製造業者/サービス事業者により提供される情報がリスクアセスメントの材料となること。
（３） 各製造業者/サービス事業者にとって、安全管理ガイドラインへの適合性への自己評価手段として利用すること。
（４） 医療機関等が製造業者/サービス事業者にセキュリティの説明を求める際の、要求のベースとして利用すること。
・本書式での記載対象の単位は、製造業者の製品として提供される医療情報システム、又はサービス事業者による医療情報システムを用いたサービスです。例えば、ある型式の製品/サービス名とそのオプションとして一まとまりに提供される機能の一式です。その中に他社の製造業者の品（例えば OS やミドルウェア）を含むならば、それによって実現される機能も記載対象に含まれています。
・チェックリストの項目は以下の通りになっています。
チェックリスト（製造業者編）
１ ～ １２

個人情報を含むデータを扱うすべての医療機関等で参照されるべき内容です。

１３ ～ ２９

保存義務のある診療録等を電子的に保存する場合の内容です。

３０

e-文書法に基づいてスキャナ等により電子化して保存する場合の内容です。

チェックリスト（サービス事業者編）
１医療機関等とサービス事業者の契約に関する内容です。

２ ～ ６６

個人情報を含むデータを扱うすべての医療機関等で参照されるべき内容です。

６７ ～ ９３

保存義務のある診療録等を電子的に保存する場合の内容です。

９４

e-文書法に基づいてスキャナ等により電子化して保存する場合の内容です。

1

・「安全管理ガイドライン」各章の「C.最低限のガイドライン」には技術的対応項目と運用も含めた的対応項目があります。MDS については、技術的対応項目の中で製品に関するもの、SDS については、さらに運用も含めた対応項目でサービス事業者に関するものに関して、「はい」、「いいえ」、「対象外」と回答する形になっており、備考には対象とするシステム/サービスが未対応で回答が「いいえ」となっている場合に運用による代替手段を記載したり、補足事項を記載する形になっています。
MDS/SDS の書式は、JAHIS/JIRA 合同の開示説明書 WG にて作成し、記述方法、解説を加えた「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド、Q&A 集と共に JAHIS/JIRA のホームページにて公開しています。
また、「安全管理ガイドライン」や厚生労働省通知「医療機器のサイバーセキュリティの確保に関するガイダンスについて」において、情報セキュリティを適切に管理する際に、参考にする文書として取り上げられています。

2

「製造業者/サービス事業者による医療情報セキュリティ開示書」（MDS/SDS）の入手と利用
医療機関等は製造業者/サービス事業者に対し、医療機器を含む対象とするシステム/サービス毎にMDS/SDS を要求し入手してください。
対象とするシステム/サービスのMDS/SDS が未作成の場合は、作成するよう要求してください。
医療機関等は「安全管理ガイドライン」の遵守が求められており、医療機関等全体としては医療機関等が主体となって、医療情報システムの製造業者/サービス事業者の協力を受けつつ、安全管理ガイドラインに則って機密性・完全性・可用性を確保するために対象とするシステム/サービスの安全管理を行う必要があります。
一方、医療機器に関しては、薬機法における製造販売業者が厚生労働省通知「医療機器におけるサイバーセキュリティの確保について」に則ってサイバーセキュリティの確保を行う必要があります。
このように医療機関等は対象とするシステム/サービスのリスクアセスメントを行うことが必要となります。MDS/SDS はリスクアセスメントを行う際に利用でき、「安全管理ガイドライン」に対する準拠性が確認できます。対象とするシステム/サービスの情報セキュリティに関する情報を入手することによって、効果的にリスクアセスメントを実施し、有効な技術的対策や運用的対策を立てることができます。
インターネット

データセンタ

医療機関等
VPN
医療
情報
シス
テ
ムの安
全管理ガ
イ
ドラ
イ
ンの準
拠

事務用PC

Firewall
医療
情報
シス
テ
ムの機
密性・
完
全性・
可用性を
確
保

医療情報ネットワーク

事務用PC
新規
導入

Firewall 医事会計・
電子カルテ

MDSを要求X

医療機器ネットワーク
RIS
PACS
・・・
・・・

ポータブルメディア

新規導入
サイバーセキュリティの確保
医療機器の安全性と有効性を維持MDSを要求

3

医療
情報
シス
テ
ムの機
密性・完
全性・
可用性を
確
保電子カルテ
サービス
PACS
サービス
新規導入
サービス
SDSを要求医療機関等が独自のフォーマットで製造業者/サービス事業者にセキュリティ対応状況を確認することに比べて、MDS/SDS を利用することによって以下のメリットがあります。
・製造業者/サービス事業者に拠らず標準化された書式による記載のため、セキュリティ対応状況の比較/把握が容易
・院内の全部門で使用している対象とするシステム/サービスのセキュリティ状況の把握が容易
・独自フォーマットよりも比較的早い回答が得られる
結果として、安全管理ガイドラインに適合した運用管理規程の作成（改訂）、運用に役立ちます。

・JAHIS/JIRA は本ドキュメントの作成、メンテナンス、普及活動を行います。
・MDS/SDS の記載内容は各製造業者/サービス事業者の自己宣言となります。記入内容については、記入した製造業者/サービス事業者が全責任を負います。
・MDS/SDS を作成した JAHIS/JIRA では、各製造業者/サービス事業者の MDS/SDS の記載内容に関して認証・試験・検査等は行っておりません。
また、MDS/SDS は特定の医療機関等における特定の目的・ニーズを満たすこと、あるいは個々の製品またはサービスの性能を保証するものではありません。

4Annex Q&A 集
はじめに
本 Q&A 集は MDS/SDS に関して医療機関等から寄せられた質問を中心にまとめたものです。
※Q における「質問 n」の“ｎ”は MDS /SDS Ver.４.0 における番号を指します。
※本書並びに本書に基づいたシステム/サービスの導入・運用についてのあらゆる障害や損害について、本書作成者は何ら責任を負わないものとします。

「全体」
Q１.

この開示書を利用する上での前提は？

A１． 安全管理ガイドラインを理解されている事です。
なお、MDS/SDS には医療情報システム/サービスを利用する医療機関等において、運用的手段で行うように求められている要件の質問は含まれておりませんのでご注意ください。

Q２．
『「製造業者による医療情報セキュリティ開示書」に関してですが、業者様に何度も依頼をしましたが、「作成したことがない」と回答され、開示を頂くことはできておりません。実際に作成されている製造業者はあるのでしょうか。』（医療機関様から実際にあった質問です。）
A２．「製造業者による医療情報セキュリティ開示書」を実際に作成している製造業者はございます。
厚生労働省の「医療情報システムの安全管理に関するガイドライン」ではその使用が推奨されております。
また、平成 30 年 7 月 24 日付け厚生労働省通知「医療機器のサイバーセキュリティの確保に関するガイダンスについて」(薬生機審発０７２４第１号、薬生安発０７２４第１号)において、製造販売業者は情報を提供することが求められており、参考資料として「製造業者による医療情報セキュリティ開示書」が記載されております。
JAHIS/JIRA としては各社への書き方セミナー等の啓発活動を実施し、医療機関等の要請に応じて提出することを推奨、啓発しております。
「第１８回（20２０年度）画像医療システム等の導入状況と安全確保状況に関する調査報告書」※では約３0％の医療機関が製造業者から「製造業者による医療情報セキュリティ開示書」を入手されていることが判明しています。

5

現在どのような状況で開示書を要求されているのか不明ですが、例えば、導入の検討段階にて、導入の条件として開示書の提出を盛り込む等の用途として使用することを想定しております。
製造業者/サービス事業者独自の書式であっても、安全管理ガイドラインへの対応状況を提供してもらうことはシステム構築上の必要なステップとなります。
※ http://www.jira-net.or.jp/publishing/introduction_report.html

Q３．医療機関等が監査を受ける際の資料として MDS/SDS が使用できるか？
A３． いいえ、そのままでは使用できません。MDS/SDS は安全管理ガイドラインが求める機能/サービスを提供しているかどうかを示す物であり、それらを医療機関等が実際に運用していることを示すものではないためです。
例えば、MDS/SDS で二要素認証が「はい」となっていても、実際に使用されているかどうかは医療機関等の運用となり、機能/サービスを有していることと、医療機関等で運用されているかどうかは別の問題となります。
MDS/SDS は医療機関等側の運用を踏まえた監査対応資料を作成するための材料として活用いただけます。

Q４．質問の後ろの括弧の中の番号は何を示すのか？
A４．質問項目の括弧内に記載されている番号は、安全管理ガイドラインの各章番号に対応するものです。

Q５．MDS/SDS は医療機関等から請求して提出されるものなのか、製造業者/サービス事業者側から積極的に提出するものなのか？
A５．MDS/SDS は製造業者/サービス事業者から自発的に開示することを想定したものですが、業者から自発的な開示が無い場合は請求してください。

Q６. MDS/SDS の具体的なメリットは何ですか？
A６．統一フォーマットを使用することにより、医療機関等における各製造業者/サービス事業者からの医療情報システム/サービスのセキュリティ対応状況の把握、情報収集が効率よく行えるようになります。
6

Q７．オプションの考え方（定義）がよく分からない。
A７．MDS/SDS におけるオプションの定義は、自社製品である必要はなく、動作確認が取れており、保守問合せ等の一次窓口になれる製品やサービスになります。単純に市販品等を調達して納品するだ
けではオプションとはみなせません。

Q８．医療機関等の要望により機能を追加する場合、MDS/SDS の回答が変わるのでしょうか？
A８．その医療機関等向けにカスタマイズしたものは、MDS/SDS には原則として反映されません。
（カスタマイズが汎用機能としてパッケージやサービスに取り込まれる場合を除く）個別のカスタマイズの安全管理ガイドラインへの対応については納品仕様書等を確認の上、ご判断ください。

Q９．MDS/SDS のチェックリストは安全管理ガイドラインの C 項を網羅しているのか？
A９．MDS/SDS のチェックリストは、安全管理ガイドラインの C 項の項目の中で製造業者/サービス事業者が提供する個々の医療情報システム/サービスのセキュリティに関わる項目に関して抜粋して記載しています。よって医療機関等での運用のみによる項目等に関しては除外されています。
各ベンダーの MDS/SDS を集めることにより、医療機関等全体のリスクアセスメントを実施するための材料としてご使用いただけます。

Q１０．質問の内容に対して部分的に未対応な場合でも「はい」と回答され、備考に未対応内容が記されているのか？
Ａ１０．一部でも未対応な場合は「いいえ」と回答し、備考に対応/未対応内容に関して記述するルールとなっています。「はい」と回答されている場合は全てについて対応できている場合になります。

Q１１． 安全管理ガイドラインで技術的対応が求められている事項に「いいえ」の回答がされている事項には 医療機関等はどうすれば良いのか？

7

A１１． 医療情報システムを利用するに当たっては技術的対応を求められている項目ですので、例えば他の製品やサービスと組み合わせて実現したり、カスタマイズ開発によって実現したりすることが求められます。
MDS/SDS においては「いいえ」の場合は備考に代替手段を記載することを求めております。それを参考にしてご対応いただいても結構ですし、記載されていない場合や、記載されていても他の代替え手段の方が有効なことも考えられますので、当該製品/サービスの採否を含め医療機関等にてご判断ください。

Q１２. オプションで対応可能な場合は「はい」と回答されているのか？
A１２．オプションの内容が備考に記載されていれば、「はい」とされています。

「安全管理ガイドライン６章 情報システムの基本的な安全管理」関係Q１３．MDS の「質問１」、SDS の「質問２」の「扱う情報のリスト」とは、どういうものか？
A１３．患者情報の項目のリストです。例えば患者の氏名、ID、住所などです。扱う情報に関しては基本情報だけでなく、検査データや画像情報等も漏れなく記載してあります。システムにもよりますが DICOM
Conformance Statement 等をリストとしている場合があります。
但し、予め製品に定義されている項目を対象としており、医療機関等で任意に扱う項目は該当しません。

Q１４．MDS の「質問１」、SDS の「質問２」の「はい」、「いいえ」の判断基準は、どう考えれば良いか？
A１４．判断基準は取り扱う情報がリスト化されているか否かです。リスト化されている場合は、情報の集約が容易にできますが、そうでない場合は医療機関等の手で取扱説明書・仕様書等から情報を集約する必要があります。
また、機能のカスタマイズ等により医療機関等からの要求に応じてリストを個別に作成する場合は「いいえ」となります。この場合、MDS/SDS 上では「いいえ」ですが、医療機関等としての個別のリストの入手はできているため安全管理ガイドライン上は問題ありません。

8

Q１５．MDS の「質問４．１」に関して、例えば「パスワード認証」と「生体認証」が「はい」となる場合、「二要素認証」が「はい」となるか？

A１５．
「パスワード認証」と「生体認証」を組み合わせて使用可能であれば「はい」、いずれか片方のみが使用可能であれば「いいえ」になります。

Q１６．MDS の「質問４．１．１」、SDS の「質問１５．１．１」で書かれているパスワード管理とは何ですか？
A１６．安全管理ガイドラインの 6.5C１３(1)から(５)で記載されている内容のことです。但し (2) の「本人確認に関する内容の台帳記載」に関しては一般的には運用でカバーする内容となりますので除外して回答される場合があります。

Q１７．MDS の「質問４．１．１」、SDS の「質問１５．１．１」の備考に「パスワードの登録・暗号化にのみ対応しています。パスワードの変更や類推性他の要素は運用でカバーしてください。
」と記述された事例を見たことがあるが、なぜ、そのような記述になっているのですか？
A１７．技術面で求められている内容は 6.5C13(1)～(5)の 5 点あります。技術的にカバーしているのが全てでない場合は何がカバーできているのか、いないのかを備考にて確認してください。

Q１８．MDS の「質問５」、SDS の「質問１６」の解説の「標準時刻」は何を持って「標準」とすべきか分からない。
A１８．日本での標準時刻は NICT が決定・維持を行っている日本標準時である JST（UTC+9）となります。日本標準時との時刻同期をいかに行うかについては NTP サーバの利用等にて適宜対応してくだ
さい。

Q１９．MDS の「質問７」、SDS の「質問１８」でオプションとして無線 LAN を準備している場合、「はい」、「いいえ」どちらになるか？
A１９．オプションで準備している無線 LAN にセキュリティ機能がある場合は、「はい」となります。
※オプションの考え方については A７．をご参照ください。
9

Q２０．オプションとして無線 LAN を用意しているのではなく、ユーザ指定で無線 LAN を納品する場合は、どのような回答になっているか？
A２０．
「いいえ」という回答になっています。
※オプションの考え方については A７．をご参照ください。

「安全管理ガイドライン７章 電子保存の要求事項について」関係
Q２１．MDS の「質問２１．２」、SDS の「質問８４」において、PDF 形式で保存されているが検索機能が用意されていない場合の回答はどうなるか？
A２１．SS-MIX のようにフォルダ単位である程度、分別されている場合は「はい」となります。全フ
ァイルが押しなべて同一階層に保存されていて、ファイルを開かないと内容が確認できない場合は「いいえ」となります。

「安全管理ガイドライン８章 診療録及び診療諸記録を外部に保存する際の基準」関係
Q２２．SDS では安全管理ガイドライン 8 章（外部保存）の質問がチェックリストの初めにあるが、なぜ章の順になっていないのか？
A２２．SDS の質問１．１から１．２のいずれか一つ以上「はい」と回答されていることが医療機関等で使用できることの大前提となるため、チェックリストの初めに設置しています。

「安全管理ガイドライン９章 診療録等をスキャナ等で電子化して保存する場合について」関係
Q２３．システムにスキャナが入っている場合、MDS の「質問１６．１」、SDS の「質問７０．１」
で入力者／確定者とあるがスキャナを使っている人が作成責任者となるのか。
A２３．責任者と作業者が異なる場合もあるので、必ずしもスキャナを使っている人が作成責任者になるとは限りません。医療機関等の運用に依ります。

10

「その他」
Q２４．モダリティ機器等、製造番号がある物が本チェックリストの対象とあるが、広域で利用される地域連携ネットワークは対象となるか。
A２４．地域連携ネットワークのように大規模なものは運用面が関わってくることもあり、全体を単一の MDS/SDS で網羅することは難しいです。地域連携ネットワークを構成する個々の製品/サービスに対して各々の MDS/SDS を入手してください。

Q.２５． MDS で言うところの製造業者とは「薬機法」における製造業の会社のことか？
A.２５． いいえ、医療情報システム、医療情報機器を提供している業者を指しています。

改訂履歴20２１年 ５月

初版

Ver.４．0 対応11